2.1 VPN 通信プロトコル

VPN 接続に失敗したり VPN 通信中に接続が切断された場合の再接続設定

SoftEther VPN Server に対する VPN 接続が、ネットワーク障害や接続先の VPN Server が一時的に停止している場合などの原因で接続に失敗したり、通信中に切断されたりした場合は、その VPN Server に対して接続が成功するまで再接続を試みます。再接続する最大の回数および再接続の間隔を指定することもできます (再接続間隔を 5 秒未満に設定することはできません)。

デフォルトでは再接続間隔は「15 秒」、再接続回数は「無限」になっており、ネットワークが機能しており接続先の VPN Server が動作している場合は、常時接続状態にすることができます。

VPN セッションの「種類」と「再接続間隔」および「再接続回数」の設定可能値およびデフォルト値は下記のとおりです。

VPN 通信に使用する TCP/IP のコネクションの本数

SoftEther VPN Server との間の VPN セッション中に複数本の TCP/IP コネクションを同時に確立し、データ転送にそれぞれの TCP/IP コネクションを並列的に利用することによって、スループットを向上させ遅延を短くすることができます。また、確立している TCP/IP コネクションのうち一部が切断された場合や、一定時間通信ができない場合は、それによって不足する TCP/IP コネクション分について、指定した本数までの TCP/IP コネクションを新しく作成して VPN セッションに追加し、可能な限り指定した本数の TCP/IP コネクションでの通信を維持しようとします。

複数本 TCP/IP コネクション使用時のコネクションが切断された場合の自動再接続処理

TCP/IP コネクションの本数は、「1 本以上 32 本以下」で、ユーザーが指定することができます。

• SoftEther VPN Client」で、新しい接続設定を作成した場合のデフォルト設定は「1 本」です。
• 「SoftEther VPN Server / SoftEther VPN Bridge」で、新しい「カスケード接続」を作成した場合のデフォルト設定は「8 本」です。

各 TCP/IP コネクションの確立間隔

2 本以上の TCP/IP コネクションを確立して VPN 通信を行う場合において、2 本目以降の TCP/IP コネクションを、1 つ前の TCP/IP コネクションが確立された後、何秒後に確立するかどうかを指定することができます。デフォルト値は「1 秒」であり、1 秒以上の値を指定することができます。

この値は通常は 1 秒のままで問題ありませんが、多くの本数 (32 本など) の TCP/IP コネクションを確立しようとする場合で連続的に TCP/IP 接続を行うと、物理的な IP ネットワークの経路上のファイアウォールや IDS などの装置が「DoS アタック」や「攻撃」などと誤って見なしてしまい、その TCP/IP コネクションを切断してしまって正しく VPN コネクションの確立が行えないような場合に、接続間隔を長くして誤検知を回避することができます。

各 TCP/IP コネクションの確立間隔

各 TCP/IP コネクションの寿命

2 本以上の TCP/IP コネクションを確立して VPN 通信を行う場合において、それぞれの TCP/IP コネクションが接続元コンピュータと VPN Server との間での接続を確立した後、指定された秒数が経過するとその TCP/IP コネクションを切断するとともに、それによって不足した分の TCP/IP コネクションを新たに確立し直すようにすることができます。デフォルトではこの機能は「使用しない」ようになっています。

この機能は、物理的な IP ネットワークの経路上のファイアウォールや IDS などの装置やプロキシサーバーなどのネットワークゲートウェイ機器またはサーバーの設定で、1 本の TCP/IP コネクションが長時間接続しているとその接続を切断してしまったり、「DoS アタック」や「攻撃」などと誤って見なしてしまうような安定性の低いネットワークにおいて、SoftEther VPN プロトコルによる VPN 通信を安定化させるために使用します。

半二重モードの使用

半二重モードは 2 本以上の TCP/IP コネクションを確立して VPN 通信を行う場合において、VPN 接続元と SoftEther VPN サーバーとの間の各 TCP/IP コネクションについて、約半数の TCP/IP コネクションを「送信方向専用」、残りの約半分の TCP/IP コネクションを「受信方向専用」に設定する機能です。この機能を有効にすると、SoftEther VPN プロトコルの一部として確立された TCP/IP コネクションそれぞれを流れるデータの伝送方向は、「VPN Server からクライアントへの方向(ダウンロード)」と「クライアントから VPN サーバーの方向 (アップロード)」のどちらか一方のみに限定されます。すべての TCP/IP コネクションを総合すると、双方向のデータの同時通信 (全二重通信) が可能ですが、それぞれの TCP/IP コネクションは片方向のデータ転送しか担わないため「半二重モード」という名称が付いています。

この機能は、物理的な IP ネットワークの経路上のファイアウォールや、IDS などの装置やプロキシサーバーなどのネットワークゲートウェイ機器またはサーバーが特殊な方法で TCP/IP プロトコルを検査し、特に「HTTPS などの SSL コネクションで双方向にデータが流れているものを検出して警告を発生したり強制的に切断したりしてしまう機能」などによって、SoftEther VPN プロトコルによる正当な通信を「攻撃」や「バックドアソフトウェアなどによる通信」であると誤って見なしてしまうような安定性の低いネットワークにおいて、SoftEther VPN プロトコルによる VPN 通信を安定化させるために使用します。

半二重モードを使用することにより、そのための制御処理のために若干のソフトウェア処理が発生し、CPU 時間を消費するため通信速度効率は低下しますが、それによるスループットの低下やユーザーが受ける影響は極めて小さく、通常は問題になりません。

半二重モードでの VPN セッションの通信

暗号化オプションの無効化

SoftEther VPN プロトコルは、デフォルトではすべての通信内容を SSL によって暗号化し電子署名を付加しますが、下記のような場合には暗号化や電子署名を生成しないようにすることも可能です。

• VPN 通信を行う物理的な IP ネットワークが物理的に安全な LAN などに限定され、悪意のある第三者が物理的な回線上のパケットを盗聴したり改ざんしたりすることが物理的に困難な場合。
• VPN 通信を通信事業者などが提供する専用線、フレームリレーまたは広域イーサネットなどの信頼性が高く他のユーザーによる盗聴が困難なネットワークの上で行い、かつそのサービスを提供する通信事業者が十分信頼できる場合。
• SoftEther VPN プロトコルを別のソフトウェア (SSH ポート転送ツールなど) と共に組み合わせることによって、さらに下のレイヤにおいて暗号化を行う場合。
• VPN 接続元のソフトウェアと、PacketX VPN Server との間が同一のコンピュータで動作している場合 (localhost に対して接続する場合)。特に同一の VPN Server の仮想 HUB 間における「カスケード接続」などを行う場合はこのような接続形態になります。

暗号化や電子署名を生成しないようにすることによって、SoftEther VPN プロトコルが物理的な IP ネットワーク上を流れるデータは純粋に仮想 Ethernet フレームにカプセル化のためのヘッダを付け足しただけになり、それに対する暗号化も電子署名による保護も施行されません。したがって、暗号化と電子署名の計算のための CPU 時間を、より多くの仮想 Ethernet フレームのカプセル化や通信のために使用することができ、通信スループットが向上します。

なお、暗号化を無効にしている場合であっても、ユーザー認証などの重要な処理は SSL で暗号化されます。

データ圧縮の使用

SoftEther VPN プロトコルは、内部で送受信される仮想 Ethernet フレームをすべて圧縮して伝送することが可能です。データ圧縮アルゴリズムとしては、「Jean-loup Gailly」および「Mark Adler」が開発した「deflate」アルゴリズムが使用されており、圧縮パラメータとしては処理速度が最も高速になるように指定しています。

VPN 通信においてデータ圧縮を利用することにより、通信量を最大 80% 程度削減することができます (使用するプロトコルによります)。ただし、圧縮を行うと、クライアントおよびサーバーの両方で CPU 負荷が高くなります。それぞれのハードウェア性能にもよりますが、おおよそ回線速度が 10 Mbps 程度を超える場合はデータ圧縮を行わないほうが、通信速度が向上する場合が多いようです。